ServiceNow

2026年6月10日更新：確認された活動およびバグ報奨金プログラムへの報告に関する、ServiceNowの新たなアドバイザリから得た詳細を以下に追加しました。

ServiceNowは、攻撃者が脆弱なAPIエンドポイントを通じて認証不要のアクセス欠陥を悪用し、顧客インスタンスからデータを取得できるようにしたセキュリティインシデントについて警告しています。

同社は、この問題に関連する「異常な活動」を検知した後、サポート・ブレティンおよび直接のサポートケースを通じて、影響を受けた顧客に静かに警告を発しました。

image

ServiceNowのカスタマーサポートログインポータル内に非公開で掲載されているこの通知によると、同社は2026年6月5日にホスト型顧客インスタンスに対してセキュリティ更新プログラムを適用したとのことです。

「2026年6月5日、ServiceNowはホスト型顧客インスタンスに対してセキュリティ更新プログラムを適用しました」と、サポート通知には記載されています。

「この更新は、特定の状況下において、認証されていないユーザーが意図した以上のアクセス権限をServiceNowインスタンスに対して取得できる可能性があるセキュリティ問題に対処するものです。」

同社によると、このセキュリティ更新プログラムにより、APIエンドポイントの設定が変更され、アクセスが認証済みユーザーのみに制限されるようになったとのことです。

またServiceNowは、攻撃者がこの脆弱性を悪用し、顧客インスタンスのテーブルへのクエリ実行に成功したことを確認した。

ServiceNowは攻撃の際にどのデータがアクセスされたかについては明らかにしていないが、インスタンスには通常、ITサポートチケット、従業員記録、内部文書、資産目録、セキュリティインシデント報告書、ワークフローデータ、および企業システムやサービスの構成詳細など、機密性の高い企業情報が保存されている。

サポートケース情報は、脅威アクターにとってますます標的となりやすいものとなっています。これは、チケットに、トラブルシューティング中に共有される認証情報、APIトークン、内部文書、認証シークレットが含まれている可能性があるためです。

アドバイザリによると、ServiceNowは現在、影響を受けた顧客に対してサポートケースを開設している。顧客がこれを受け取っていない場合、当該インシデントの影響を受けていないと見なされる。

ServiceNowはこの脆弱性に関する技術的な詳細を公表していませんが、Redditでこのインシデントについて議論している管理者たちによると、この問題は「/api/now/related_list_edit/create」というRESTエンドポイントに関連しているようです。

あるコメント投稿者は、このエンドポイントが「requires_authentication=false」で設定されていたため、認証されていないリクエストでもインスタンスデータにアクセスできていた可能性があると指摘しています。金曜日にリリースされたセキュリティアップデートは、requires_authenticationをtrueに設定するために使用されたとされています。

多数の管理者が、IPアドレス「51.159.98.241」からのAPIリクエストを含む侵害の兆候を共有し、他の管理者に対し、脆弱なエンドポイントへのリクエストについてログを確認するよう助言している。

このセキュリティ情報によると、この問題は主に「Australia」プラットフォームリリースを実行している顧客、または以前のリリースで特定の設定変更を行った顧客に影響を与えるとしています。

「このセキュリティ問題は、オーストラリア・プラットフォーム・リリースを利用している顧客、またはオーストラリア以前のリリースでインスタンスに特定の設定変更を行った顧客に関係するものです」とServiceNowは警告した。

読者の通報を受けて本日早朝、当メディアはServiceNowに連絡を取り、この活動がどのくらいの期間続いていたのか、問題の原因は何か、顧客データが盗まれたのかどうかを尋ねた。しかし、本記事の公開時点までに回答は得られていない。

ServiceNowは、この問題についてCVEを公開するかどうかを現在検討中であると述べています。

管理者は、ServiceNowのログを点検し、特にIPアドレス51.159.98.241からの/api/now/related_list_editへのリクエストを確認するよう推奨されています。

影響を受けた組織は、公開されたチケットやレコードに機密情報が含まれていないか確認し、サポートワークフローを通じて共有されている認証情報やトークンを更新し、APIのログ記録が有効になっていることを確認する必要があります。

2026年6月10日更新：ServiceNowは、観測された活動は悪意のある脅威アクターによるものではなく、バグ報奨金プログラムに関連するセキュリティ研究者や顧客主導の調査に起因する可能性が高いとの見解を示すアドバイザリを公開した。

同社はまた、2026年4月22日に同様の問題を説明する機密扱いのバグ報奨金報告を受け取っていたことを明らかにしましたが、顧客インスタンスを標的とした活動が数日前に始まったと報告された後、6月5日までセキュリティ更新プログラムを適用しませんでした。

当サイトはServiceNowに対し、セキュリティ更新プログラムの展開が遅れた理由について問い合わせており、回答が得られ次第、この記事を更新する予定です。